BIND 9(Red Hat Enterprise Linux/CentOSパッケージ版)の脆弱性情報(Moderate: CVE-2018-5742)

2018.12.20

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

12/19/2018にBIND 9(Red Hat Enterprise Linux/CentOSパッケージ版)の脆弱性情報(Moderate: CVE-2018-5742)が公開されています。本家のISCのソースの問題ではなく、発生するのもレアなケースでは有りますが、BINDですので、今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

ISCからの情報

https://www.mail-archive.com/bind-users@lists.isc.org/msg26950.html

こちらでも出ていますが、このCVE-2018-5742はRed HatがBIND 9.11からの“Negative Trust Anchor”のバックポートを行った際に生じた問題であり、本来のISC提供のバージョンには、この脆弱性は含まれていないとのことです。
Priority
  • CVE-2018-5742
    Moderate
    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 5.9
      • Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
    • NVD
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
  • https://access.redhat.com/security/cve/cve-2018-5742
    • アサーションエラーによるクラッシュの可能性
    • 重要度 – Moderate
    • debug log levelを10以上にしている場合、ログエントリがバッファーの境界に近くなった場合には、プロセスがクラッシュします。これを利用して、リモートの攻撃者が細工されたクエリを用いてプロセスをクラッシュさせることが出来ます。この問題は“Negative Trust Anchors(NTA)”をバックポートした際に発生しました。
    • 注意：この問題は、debug log levelを10以上に設定した場合にのみ発生します。そのため、プロダクション環境のBINDでは、この攻撃が可能になる設定になっているBINDはレアなはずです。
      debug levelに関しては、rndc statusコマンドで”debug level”が表示されるのでそちらで確認できます。
      
# rndc status
version: XXXXXX
CPUs found: 1
worker threads: 1
number of zones: 16
debug level: 0  <-----このような表示で確認できます。
xfers running: 0
xfers deferred: 0
soa queries in progress: 0
query logging is OFF
recursive clients: 0/0/1000
tcp clients: 0/100
server is up and running

主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、OSの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
セキュリティ系連載案内
セミナー情報
2019/01/09 18:30-20:30で、「OSSライセンスMeetup Vol.1」を行います。
今回は技術評論社刊「OSSライセンスの教科書」著者・上田さんを迎えて刊行に至った理由・本著に込めた思い・見どころなどを語っていただき、後半ではテクニカルライター可知豊さんと共に上田さんと本書についてのディスカッションを行います。
https://sios.connpass.com/event/104422/がプログラム内容と申し込みの詳細になります。奮ってご参加下さい。
 
 
          
タイトルとURLをコピーしました